(57)【要約】【課題】少量の事前知識で異常トラヒック分析を行う手段を提供する。【解決手段】トラヒック取得手段２１がトラヒックを取得する。トラヒックパターン、通信装置対応リスト作成部２５が、取得したトラヒックを、トラヒックを送信した通信装置とトラヒックパターンに応じて分類する。一時的異常通信装置判定部２６が予め定めた指定トラヒックパターンに該当するトラヒックを送信した通信装置を抽出する。トラヒックパターンスコア算出手段２７が、トラヒックパターンのスコアを、一時的異常通信装置判定部２６が抽出した通信装置のうち該トラヒックパターンを送信した通信装置の割合と、抽出しない通信装置のうち該トラヒックパターンを送信した通信装置の割合に基づき算出する。通信装置スコア算出手段２８が通信装置のスコアを該通信装置が送信したトラヒックのトラヒックパターンのスコアに基づき算出する。【選択図】        図２
2006352395.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータネットワークのトラヒックに現れるトラヒックパターンのスコアを算出するトラヒック分析装置のトラヒック分析方法であって、
前記トラヒック分析装置は、トラヒック取得手段と、分類手段と、判定手段と、トラヒックパターンスコア算出手段と、を備え、
前記トラヒック取得手段が、コンピュータネットワークのトラヒックを取得するステップと、
前記分類手段が、前記トラヒック取得手段が取得したトラヒックを、トラヒックを送信した通信装置とトラヒックパターンに応じて分類するステップと、
前記判定手段が、前記通信装置の中から、予め定めた指定トラヒックパターンに該当するトラヒックを送信した通信装置を抽出するステップと、
前記トラヒックパターンスコア算出手段が、トラヒックパターンのスコアを、前記判定手段が抽出した通信装置のうち、該トラヒックパターンを送信した通信装置の割合と、前記判定手段が抽出しない通信装置のうち、該トラヒックパターンを送信した通信装置の割合に基づき算出するステップと、
を有することを特徴とするトラヒック分析方法。
【請求項２】
コンピュータネットワークのトラヒックに現れるトラヒックパターンのスコアを算出するトラヒック分析装置のトラヒック分析方法であって、
前記トラヒック分析装置は、トラヒック取得手段と、分類手段と、判定手段と、トラヒックパターンスコア算出手段と、を備え、
前記トラヒック取得手段が、コンピュータネットワークのトラヒックを取得するステップと、
前記分類手段が、前記トラヒック取得手段が取得したトラヒックを、トラヒックを送信した通信装置とトラヒックパターンに応じて分類するステップと、
前記判定手段が、前記通信装置の中から、予め定めた指定トラヒックパターンに該当するトラヒックを送信した通信装置を抽出するステップと、
前記トラヒックパターンスコア算出手段が、トラヒックパターンのスコアを、前記判定手段が抽出した通信装置の送信トラヒック量のうち、該トラヒックパターンに一致するトラヒック量の割合と、前記判定手段が抽出しない通信装置の送信トラヒック量のうち、該トラヒックパターンに一致するトラヒック量の割合に基づき算出するステップと、
を有することを特徴とするトラヒック分析方法。
【請求項３】
請求項１または２に記載のトラヒック分析方法であって、
前記トラヒック分析装置は、前記通信装置のスコアを算出する通信装置スコア算出手段を備え、
前記通信装置スコア算出手段が、前記通信装置のスコアを、前記トラヒックパターンスコア算出手段が算出したトラヒックパターンのスコアのうち、該通信装置が送信したトラヒックのトラヒックパターンのスコアに基づき算出するステップを有することを特徴とするトラヒック分析方法。
【請求項４】
コンピュータネットワークのトラヒックに現れるトラヒックパターンのスコアを算出するトラヒック分析装置であって、
コンピュータネットワークのトラヒックを取得するトラヒック取得手段と、
前記トラヒック取得手段が取得したトラヒックを、トラヒックを送信した通信装置とトラヒックパターンに応じて分類する分類手段と、
前記通信装置の中から、予め定めた指定トラヒックパターンに該当するトラヒックを送信した通信装置を抽出する判定手段と、
トラヒックパターンのスコアを、前記判定手段が抽出した通信装置のうち、該トラヒックパターンを送信した通信装置の割合と、前記判定手段が抽出しない通信装置のうち、該トラヒックパターンを送信した通信装置の割合に基づき算出するトラヒックパターンスコア算出手段と、
を備えることを特徴とするトラヒック分析装置。
【請求項５】
コンピュータネットワークのトラヒックに現れるトラヒックパターンのスコアを算出するトラヒック分析装置であって、
コンピュータネットワークのトラヒックを取得するトラヒック取得手段と、
前記トラヒック取得手段が取得したトラヒックを、トラヒックを送信した通信装置とトラヒックパターンに応じて分類する分類手段と、
前記通信装置の中から、予め定めた指定トラヒックパターンに該当するトラヒックを送信した通信装置を抽出する判定手段と、
トラヒックパターンのスコアを、前記判定手段が抽出した通信装置の送信トラヒック量のうち、該トラヒックパターンに一致するトラヒック量の割合と、前記判定手段が抽出しない通信装置の送信トラヒック量のうち、該トラヒックパターンに一致するトラヒック量の割合に基づき算出するトラヒックパターンスコア算出手段と、
を備えることを特徴とするトラヒック分析装置。
【請求項６】
請求項４または５に記載のトラヒック分析装置であって、
前記通信装置のスコアを、前記トラヒックパターンスコア算出手段が算出したトラヒックパターンのスコアのうち、該通信装置が送信したトラヒックのトラヒックパターンのスコアに基づき算出する通信装置スコア算出手段を備えることを特徴とするトラヒック分析方法。
【請求項７】
請求項４ないし６のうちいずれか１項に記載の手段としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータネットワークのトラヒックを分析する方法、装置およびそのプログラムに関するものである。
【背景技術】
【０００２】
コンピュータネットワーク上での異常トラヒックの増加に伴い、異常トラヒックを検出するトラヒック分析に対する要求が高まっている。現状のトラヒック分析方法においては、あるトラヒックが異常かどうかを、予め指定した異常トラヒックパターンに一致するか否かで判別している。例えば特許文献１では、収集トラヒックのパターンデータと予め用意された侵入パターンを表すパターンデータとのパターンマッチングを行い、侵入検知を行う方式を提案している。しかし、ウイルスの挙動解析は一般的に困難であり、単一ウイルスのウイルスをとった場合でも、そのウイルスに起因する異常トラヒックの挙動は幅広いため、その挙動をすべて把握することは困難であり、したがって異常トラヒックの識別子となるトラヒックパターンを予めすべて列挙することは困難であった。
【０００３】
また事前パターンマッチングを用いない確率的な異常トラヒック検出方法としては、あるメールが不要か否かをそのメールに含まれる単語の不要度を示すスコアを用いて確率的に判断するシステムが提案されている（非特許文献１）。同手法においては、ユーザが事前に複数のメールに対して不要か否かを手動で判断しシステムに通知する。システムは通知された情報を用い、メールに表れる各単語に対して不要メールに含まれる割合と必要メールに含まれる割合から不要度を示すスコアを算出し、新規メールが不要か否かを、同メールに含まれる単語スコアを用いて推定する。同手法を異常トラヒック検出に適用する場合、複数のユーザに対して、異常ユーザか否かをシステムに事前に学習させる必要があるが、あるユーザが異常か否かを手動で判別することは困難であり、さらに大量のトラヒックに含まれる大量のユーザに対して判別を実施することは困難である。
【０００４】
【特許文献１】特開２００３−２７３９２９号公報
【非特許文献１】Gary Robinson,“A statistical approach to the spam problem”,Linux Journal, no.107, March 2003.
【発明の開示】
【発明が解決しようとする課題】
【０００５】
本発明の目的は、上述の問題点に鑑み、異常トラヒックの識別を行うトラヒックパターンをすべて列挙するのではなく、一部の異常トラヒックパターンから当該パターンを送信した通信装置を抽出し、少量の事前知識で異常トラヒック分析を行う手段を提供することにある。
【課題を解決するための手段】
【０００６】
予め定めた指定トラヒックパターン群をＰＡｉ、トラヒックを送信した通信装置ｊの送信トラヒックパターンを｛Ｐｊｋ｝（ｋ＝１、…、ｎｊ、ｎｊはトラヒック取得期間中の通信装置ｊの送信トラヒックパターン数）とする。トラヒックを送信した通信装置を、Ｐｊｋのうち、ＰＡｉと一致するものがある通信装置とそうでない通信装置に分類する。すなわち、送信した通信装置全体を予め定めた指定トラヒックパターンに該当するトラヒックを送信した通信装置と、そうでない通信装置に分類する。以降、前者を一時的異常通信装置と呼び、その集合をＡ、後者を一時的正常通信装置と呼び、その集合をＮとする。すべての送信した通信装置をＡもしくはＮに分類すると、あるトラヒックパターンに対して、それを送信した通信装置が異常ユーザである確率は、Ａに含まれる通信装置からの送信割合とＮに含まれる通信装置からの送信割合を用いてベイズ統計などを用いて推定できる。
【０００７】
この事象を用いて、本発明の第１のトラヒック分析方法においては、トラヒックパターンＰｌのスコアを一時的異常通信装置ＡのうちＰｌを送信した通信装置数の割合と一時的正常通信装置ＮのうちＰｌを送信した通信装置数を用いてスコアリングするものである。すなわち、第１のトラヒック分析方法は、コンピュータネットワークのトラヒックに現れるトラヒックパターンのスコアを算出するトラヒック分析装置のトラヒック分析方法であって、前記トラヒック分析装置は、トラヒック取得手段と、分類手段と、判定手段と、トラヒックパターンスコア算出手段と、を備え、前記トラヒック取得手段が、コンピュータネットワークのトラヒックを取得するステップと、前記分類手段が、前記トラヒック取得手段が取得したトラヒックを、トラヒックを送信した通信装置とトラヒックパターンに応じて分類するステップと、前記判定手段が、前記通信装置の中から、予め定めた指定トラヒックパターンに該当するトラヒックを送信した通信装置を抽出するステップと、前記トラヒックパターンスコア算出手段が、トラヒックパターンのスコアを、前記判定手段が抽出した通信装置のうち、該トラヒックパターンを送信した通信装置の割合と、前記判定手段が抽出しない通信装置のうち、該トラヒックパターンを送信した通信装置の割合に基づき算出するステップと、を有することを特徴とする。
【０００８】
本発明の第２のトラヒック分析方法においては、トラヒックパターンＰｌのスコアを一時的異常通信装置Ａの送信トラヒック量のうちＰｌに該当するトラヒック量の割合と一時的正常通信装置Ｎの送信トラヒック量うちＰｌに該当するトラヒック量の割合を用いてスコアリングするものである。すなわち、第２のトラヒック分析方法は、コンピュータネットワークのトラヒックに現れるトラヒックパターンのスコアを算出するトラヒック分析装置のトラヒック分析方法であって、前記トラヒック分析装置は、トラヒック取得手段と、分類手段と、判定手段と、トラヒックパターンスコア算出手段と、を備え、前記トラヒック取得手段が、コンピュータネットワークのトラヒックを取得するステップと、前記分類手段が、前記トラヒック取得手段が取得したトラヒックを、トラヒックを送信した通信装置とトラヒックパターンに応じて分類するステップと、前記判定手段が、前記通信装置の中から、予め定めた指定トラヒックパターンに該当するトラヒックを送信した通信装置を抽出するステップと、前記トラヒックパターンスコア算出手段が、トラヒックパターンのスコアを、前記判定手段が抽出した通信装置の送信トラヒック量のうち、該トラヒックパターンに一致するトラヒック量の割合と、前記判定手段が抽出しない通信装置の送信トラヒック量のうち、該トラヒックパターンに一致するトラヒック量の割合に基づき算出するステップと、を有することを特徴とする。
【０００９】
本発明の第３のトラヒック分析方法においては、通信装置ｊのスコアを送信トラヒックパターン｛Ｐｊｋ｝のスコアを用いてスコアリングするものである。すなわち、第３のトラヒック分析方法は、第１または第２のトラヒック分析方法であって、前記トラヒック分析装置は、前記通信装置のスコアを算出する通信装置スコア算出手段を備え、前記通信装置スコア算出手段が、前記通信装置のスコアを、前記トラヒックパターンスコア算出手段が算出したトラヒックパターンのスコアのうち、該通信装置が送信したトラヒックのトラヒックパターンのスコアに基づき算出するステップを有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば少量の事前情報である指定トラヒックパターンから、当該パターンを送信した通信装置の他のトラヒックパターン、および当該パターンを送信しない通信装置の送信を用いて各トラヒックパターンのスコアを算出し、また当該トラヒックパターンスコアを用いて通信装置のスコアを算出することにより、異常トラヒック、また異常トラヒックを送信した通信装置の検出などのトラヒック分析および分析装置を提供することが出来る。
【発明を実施するための最良の形態】
【００１１】
以下、図面を用いて本発明の実施例を説明する。
【実施例１】
【００１２】
図１は通信装置（例えば、ユーザが使用するＰＣ）とその送信トラヒックパターンの対応関係を示す図である。図１は、通信装置１、２、３、４、５、６から矢印で示されたトラヒックパターンが通信装置１、２、３、４、５、６の送信トラヒックパターンであることを示している。すなわち、図１において、通信装置１の送信トラヒックパターンはトラヒックパターン１とトラヒックパターン２であり、通信装置２の送信トラヒックパターンはトラヒックパターン１とトラヒックパターン２であり、通信装置３の送信トラヒックパターンはトラヒックパターン１とトラヒックパターン２とトラヒックパターン３であり、通信装置４の送信トラヒックパターンはトラヒックパターン２とトラヒックパターン４であり、通信装置５の送信トラヒックパターンはトラヒックパターン３とトラヒックパターン４であり、通信装置６の送信トラヒックパターンはトラヒックパターン４である。ここで、送信トラヒックパターンとは、通信装置が送信したトラヒックのパターンである。送信トラヒックパターンとしては、トラヒックのあて先アドレス、またはアプリケーション層の情報、たとえばＤＮＳにおける問い合わせドメイン名、ＨＴＴＰにおけるアクセスＵＲＩ、ＳＭＴＰにおけるあて先メールアドレスなどが挙げられる。
【００１３】
これらトラヒックパターンの内、異常トラヒックと判定されるトラヒックパターン（例えばウイルスに感染したＰＣが送信するトラヒックパターン）を指定トラヒックパターンとし、当該パターンを送信した通信装置を一時的異常通信装置、そうでない通信装置を一時的正常通信装置として分離する。図１においては、トラヒックパターン１が指定トラフィックパターンすなわち異常トラフィックと判定されるトラフィックパターンであり、トラフィックパターン１を送信した通信装置１、２、３（トラヒックパターン１への太線の矢印のある通信装置）が一時的異常通信装置であり、トラフィックパターン１を送信しない通信装置４、５、６（トラヒックパターン１への太線の矢印のない通信装置）が一時的正常通信装置である。図１においては、一時的異常通信装置数は３であり、一時的正常通信装置数は３であり、トラヒックパターン数は４であるが、これらの数は任意の数でよい。なお、図１に示す総転送パケット数およびパケット数は実施例２において説明する。
【００１４】
次に各トラヒックパターンＰｌに対して、一時的異常通信装置からの送信割合、一時的正常通信装置からの送信割合に基づきスコアを算出する。トラヒックパターンスコア算出例としては、一時的異常通信装置の集合をＡ、Ａの要素数を＃Ａ、Ａの内トラヒックパターンＰｌを送信した通信装置数を＃Ａｌ、一時的正常通信装置の集合をＮ、Ｎの要素数を＃Ｎ、Ｎの内トラヒックパターンＰｌを送信した通信装置数を＃Ｎ１、としたときに、ＰｌのスコアＳ（Ｐｌ）を、
Ｓ（Ｐｌ）＝（＃Ａｌ／＃Ａ）／（（＃Ａｌ／＃Ａ）＋（＃Ｎｌ／＃Ｎ））    式（１）
で算出する。
【００１５】
図１の例では、トラヒックパターン１のスコアＳ（トラヒックパターン１）＝（３／３）／（（３／３）＋（０／３））＝１であり、トラヒックパターン２のスコアＳ（トラヒックパターン２）＝（３／３）／（（３／３）＋（１／３））＝０．７５であり、トラヒックパターン３のスコアＳ（トラヒックパターン３）＝（１／３）／（（１／３）＋（１／３））＝０．５であり、トラヒックパターン４のスコアＳ（トラヒックパターン４）＝（０／３）／（（０／３）＋（３／３））＝０である。
【００１６】
すなわち、図１におけるトラヒックパターンＰｌのスコアＳ（Ｐｌ）は、
Ｓ（トラヒックパターン１）＝１、
Ｓ（トラヒックパターン２）＝０．７５、
Ｓ（トラヒックパターン３）＝＝０．５、
Ｓ（トラヒックパターン４）＝０、
である。
【００１７】
以上のように、トラヒックパターンＰｌのスコアＳ（Ｐｌ）を、指定トラヒックパターンを送信した通信装置のうち、トラヒックパターンＰｌを送信した通信装置の割合と、指定トラヒックパターンを送信しない通信装置のうち、トラヒックパターンＰｌを送信した通信装置の割合に基づき算出するので、トラヒックパターンＰｌのスコアＳ（Ｐｌ）が高ければ、異常トラヒックパターンを送信する通信装置からのトラヒックが多いことになり、そのトラヒックパターンＰｌも異常トラヒックパターンである可能性が高いと推測できる。したがって、トラヒックパターンのスコアを計算することにより、少数の指定トラヒックパターン（異常トラヒックパターン）から、他のトラヒックパターンが異常であるかどうかの推測を行うことができる。例えば、実際の運用、実験、シミュレーション等から、トラヒックパターンのスコアの閾値を定め、計算したスコアがその閾値を超えたトラヒックパターンを新たに指定トラヒックパターンとすることができる。このように少数の指定トラヒックパターンを用いたトラヒックパターン分析に基づき、例えば前記の閾値よりスコアの高いトラヒックパターンを抽出し、そのようなトラヒックパターンを指定トラヒックパターンとし、再度、トラヒックパターンのスコアを計算してもよい。
【００１８】
さらに上記手法などで算出したトラヒックパターンのスコアＳ（Ｐｌ）を用いて通信装置のスコアを算出する。通信装置ｊのスコアＳ（Ｕｊ）の算出例としては、式（２）に示すように、通信装置ｊが送信した全トラヒックパターンの幾何平均を用いる。
Ｓ（Ｕｊ）＝（ΠＳ（Ｐｊｋ））（１／ｎｊ）                            式（２）
ここで、Ｐｊｋは通信装置ｊのｋ番目の送信トラヒックパターンであり、Ｓ（Ｐｊｋ）は通信装置ｊのｋ番目の送信トラヒックパターンのスコアである。ｎｊはトラヒック取得期間中の通信装置ｊの送信トラヒックパターン数であり、図１の例では、通信装置１の送信トラヒックパターン数ｎ１＝２、通信装置２の送信トラヒックパターン数ｎ２＝２、通信装置３の送信トラヒックパターン数ｎ３＝３、通信装置４の送信トラヒックパターン数ｎ４＝２、通信装置５の送信トラヒックパターン数ｎ５＝２、通信装置６の送信トラヒックパターン数ｎ６＝１である。
【００１９】
通信装置のスコアについては、図１の例では、通信装置１のスコアＳ（通信装置１）＝（１・０．７５）（１／２）＝０．８６６であり、通信装置２のスコアＳ（通信装置２）＝（１・０．７５）（１／２）＝０．８６６であり、通信装置３のスコアＳ（通信装置３)＝（１・０．７５・０．５）１／３＝０．７２１であり、通信装置４のスコアＳ（通信装置４)＝（０．７５・０）１／２＝０であり、通信装置５のスコアＳ（通信装置５)＝（０．５・０）１／２＝０であり、通信装置６のスコアＳ（通信装置６）＝０１＝０である。
【００２０】
すなわち、図１における通信装置ＵｊのスコアＳ（Ｕｊ）は、
Ｓ（通信装置１）＝０．８６６、
Ｓ（通信装置２）＝０．８６６、
Ｓ（通信装置３)＝０．７２１、
Ｓ（通信装置４)＝０、
Ｓ（通信装置５)＝０、
Ｓ（通信装置６)＝０、
である。
【００２１】
以上のように、通信装置ＵｊのスコアＳ（Ｕｊ）を、既に算出したトラヒックパターンのスコアのうち、通信装置ｊが送信したトラヒックのトラヒックパターンのスコアに基づき算出するので、通信装置ＵｊのスコアＳ（Ｕｊ）が高ければ、異常トラヒックパターンのトラヒックが多いことになり、その通信装置Ｕｊも一時的異常通信装置（例えばウイルスに感染したＰＣ）である可能性が高いと推測できる。例えば、実際の運用、実験、シミュレーション等から、通信装置のスコアの閾値を定め、計算したスコアがその閾値を超えた通信装置が一時的異常通信装置であると判断する。そして、例えば前記の閾値よりスコアの高い通信装置を一時的異常通信装置として、再度、トラヒックパターンのスコアを計算し、さらに、それに基づいて通信装置のスコアを計算し、一時的異常通信装置と判断することもできる。
【００２２】
上記の通信装置のスコアの計算方法の変形例として、特徴的なトラヒックパターンのみを利用する方法がある。これは、前記のトラヒックパターンのスコアの計算で得られたスコアのうち、定められた閾値Ｔｕよりスコアが高いトラヒックパターンと、予め定めた閾値Ｔｌよりスコアが低いトラヒックパターンだけを使用して、通信装置のスコアを計算する方法である。もちろん、Ｔｕ＞Ｔｌである。閾値Ｔｕ、Ｔｌは実際の運用、実験、シミュレーション等から定める。
【００２３】
予め定めた閾値Ｔｕ、Ｔｌに対して、Ｓ（Ｐｊｋ）＞ＴｕとなるトラヒックパターンＰｊｋをＰ'ｊｋ、そのような送信トラヒックパターン数をｎ'ｊ、Ｓ（Ｐｊｋ）＜Ｔｌとなる送信トラヒックパターンＰｊｋをＰ＊ｊｋ、そのようなパターン数をｎ＊ｊとし、ＵｊのスコアＳ（Ｕｊ）を式（３）で計算する。ここで、Ｎ（Ｕｊ）、Ｉ（Ｕｊ）はそれぞれ式（４）、（５）で与えられる。
【００２４】
【数１】
2006352395.tif 000003
【００２５】
例えば、Ｔｕ＝０．７、Ｔｈ＝０．３とした場合、０．７以上、０．３以下のスコアのトラヒックパターンのみを用いるために、図１の例では、通信装置１のスコアＳ（通信装置１）＝（１＋（１−（１−（１・０．７５）（１／２）））／（２・（１＋（１−（１・０．７５）（１／２））））＝０．８２３であり、通信装置５のスコアＳ（通信装置５）＝（１＋（１−（１−０）１）−１））／（２・（（１−（１−０）１）＋１））＝０である。
【００２６】
この場合も、通信装置ＵｊのスコアＳ（Ｕｊ）が高ければ、異常トラヒックパターンを送信するトラヒックが多いことになり、前述の方法と同様のことができる。
【００２７】
図２は本実施例のトラヒック分析装置の構成例を示すブロック図である。
２１は、コンピュータネットワークのトラヒックを取得するトラヒック取得部である。トラヒック取得部２１はコンピュータネットワークから直接トラヒックを取得しても良いし、他の装置等を用いて得られたトラヒックのデータが入力されることによってトラヒック取得部２１がトラヒックを取得してもよい。２２は、トラヒック取得部２１が取得したトラヒックからトラヒックパターンを抽出するトラヒックパターン抽出部である。トラヒックパターン抽出部２２で抽出されたトラヒックパターンが例えば図１のトラヒックパターン１〜４である。２３は、指定トラヒックパターンすなわち異常トラヒックと判定されるトラヒックパターンを入力する指定トラヒックパターン入力部である。図１の例では、トラヒックパターン１を指定トラヒックパターンとして指定トラヒックパターン入力部２３から入力する。２４は、トラヒックパターン抽出部２２で抽出されたトラヒックパターンと指定トラヒックパターン入力部２３から入力された指定トラヒックパターンのマッチングを行いその結果を出力する指定トラヒックパターンマッチング部である。図１の例では、指定トラヒックパターンマッチング部２４では、トラヒックパターン１〜４の中からトラヒックパターン１を指定トラヒックパターンとして出力する。
【００２８】
２５は、トラヒックパターンと通信装置との対応リストを作成するトラヒックパターン、通信装置対応リスト作成部である。トラヒックパターン、通信装置対応リスト作成部２５は、トラヒックパターン抽出部２２で抽出されたトラヒックパターンを用いて、トラヒック取得部２１で取得された取得トラヒックを、通信装置とトラヒックパターンに応じて分類する分類手段である。トラヒックパターン、通信装置対応リスト作成部２５で作成されるトラヒックパターン、通信装置対応リストは例えば次のようなリストである。
通信装置１：トラヒックパターン１、トラヒックパターン２、
通信装置２：トラヒックパターン１、トラヒックパターン２、
通信装置３：トラヒックパターン１、トラヒックパターン２、トラヒックパターン３、
・・・・・
【００２９】
２６は、トラヒックパターン、通信装置対応リスト作成部２５で作成されたトラヒックパターン、通信装置対応リストと指定トラヒックパターンマッチング部２４から出力された指定トラヒックパターンとから、一時的異常通信装置を判定する一時的異常通信装置判定部である。すなわち、一時的異常通信装置判定部２６は、トラヒックを送信した通信装置の中から、予め定めたトラヒックパターンに該当するトラヒックを送信した通信装置を判定して抽出する判定手段である。図１の例では、一時的異常通信装置判定部２６は、指定トラヒックパターンであるトラヒックパターン１のトラヒックを送信した通信装置１〜３が一時的異常通信装置であると判定する。
【００３０】
２７は、トラヒックパターン、通信装置対応リスト作成部２５で作成されたトラヒックパターン、通信装置対応リストと、一時的異常通信装置判定部２６から出力された一時的異常通信装置に基づいて、トラヒックパターンのスコアを算出するトラヒックパターンスコア算出部である。トラヒックパターンスコア算出部２７は、一時的異常通信装置（すなわち、一時的異常通信装置判定部２６が抽出した通信装置）のうち、指定トラヒックパターンを送信した通信装置の割合と、一時的正常通信装置（すなわち、一時的異常通信装置判定部２６が抽出しない通信装置）のうち、指定トラヒックパターンを送信した通信装置の割合に基づいて、各トラヒックパターンのスコアを算出する。具体的には、トラヒックパターンスコア算出部２７は、前述の式（１）を用いて各トラヒックパターンのスコアを算出する。
【００３１】
２８は、トラヒックパターン、通信装置対応リスト作成部２５で作成されたトラヒックパターン、送信した通信装置対応リストと、トラヒックパターンスコア算出部２７で算出されたトラヒックパターンスコアに基づいて、送信した通信装置のスコアを算出する通信装置スコア算出部である。すなわち、通信装置スコア算出部２８は、トラヒックパターンスコア算出部２７が算出したトラヒックパターンのスコアのうち、各通信装置が送信したトラヒックパターンのスコアに基づき、各通信装置のスコアを算出する。具体的には、通信装置スコア算出部２８は、前述の式（２）または式（３）を用いて各通信装置のスコアを算出する。
【実施例２】
【００３２】
実施例２は、トラヒックパターンＰｉのスコアを算出する際に、実施例１において算出したように通信装置の比率を用いるのではなく、トラヒック量の比率を用いるものである。ここでトラヒック量は例えばパケット数、コネクション数などが上げられる。一時的異常通信装置の送信トラヒック量をＶＡ、一時的異常通信装置が送信したトラヒックパターンＰｉに対応する送信トラヒック量をＶＡｉ、一時的異常通信装置の送信トラヒック量をＶＮ、一時的異常通信装置が送信したトラヒックパターンＰｉに対応する送信トラヒック量をＶＮｉとしたときに、トラヒックパターンＰｉのスコアＳ（Ｐｉ）を、例えば
Ｓ（Ｐｉ）＝（ＶＡｉ／ＶＡ）／（（ＶＡｉ／ＶＡ）＋（ＶＮｉ／ＶＮ））    式（６）
で算出する。
【００３３】
図１の例では、一時的異常通信装置の送信トラヒック量ＶＡは１００（一時的異常通信装置の総転送パケット数）であり、一時的正常通信装置の送信トラヒック量ＶＮは２００（一時的正常通信装置の総転送パケット数）である。そして、図１においては、一時的異常通信装置の内の通信装置３がトラヒックパターン３で送信した送信トラヒック量ＶＡｉは３であり、一時的正常通信装置の内の通信装置５がトラヒックパターン３で送信した送信トラヒック量ＶＮｉは８である。したがって、図１の場合のトラヒックパターン３についてのスコアＳ（トラヒックパターン３）は、Ｓ（トラヒックパターン３）＝（３／１００）／（（３／１００）＋（８／２００））＝０．４２９である。
【００３４】
実施例２においても、通信装置のスコアの計算は実施例１と同じである。具体的には、式（６）で算出されたトラヒックパターンのスコアを用いて、式（２）または式（３）で各通信装置のスコアを算出する。
【００３５】
本実施例のトラヒック分析装置の構成例を示すブロック図は図２と同じである。ただし、実施例２では、トラヒックパターンスコア算出部２７は、一時的異常通信装置（すなわち、一時的異常通信装置判定部２６が抽出した通信装置）の送信トラヒック量のうち、指定トラヒックパターンに一致するトラヒック量の割合と、一時的正常通信装置（すなわち、一時的異常通信装置判定部２６が抽出しない通信装置）の送信トラヒック量のうち、指定トラヒックパターンに一致するトラヒック量の割合に基づいて、各トラヒックパターンのスコアを算出する。具体的には、トラヒックパターンスコア算出部２７は、式（６）を用いて各トラヒックパターンのスコアを算出する。トラヒックパターン、通信装置対応リスト作成部２５で作成されるトラヒックパターン、通信装置対応リストは、実施例１の場合のリストにパケット数を付加したものであり、例えば、図１の通信装置３については、
通信装置３：トラヒックパターン１（パケット数ｘｘ）、トラヒックパターン２（パケット数ｏｏ）、トラヒックパターン３（パケット数３）、
のようになる。ここで、ｘｘは通信装置３がトラヒックパターン１で送信したパケット数であり、ｏｏは通信装置３がトラヒックパターン２で送信したパケット数である。
実施例１、２のトラヒック分析方法、トラヒック分析装置はコンピュータとプログラムで実現できる。また、その一部または全部をハードウェアで構成してもよい。
【００３６】
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００３７】
【図１】通信装置とその送信トラヒックパターンの対応関係を示す図である。
【図２】実施例１、２におけるトラヒック分析装置の構成例を示すブロック図である。
【符号の説明】
【００３８】
２１…トラヒック取得手段、２２…トラヒックパターン抽出部、２３…指定トラヒックパターン入力部、２４…指定トラヒックパターンマッチング部、２５…トラヒックパターン、通信装置対応リスト作成部、２６…一時的異常通信装置判定部、２７…トラヒックパターンスコア算出手段、２８…通信装置スコア算出手段
【図１】
2006352395.tif 000004
【図２】
2006352395.tif 000005